Auf den Punkt: „Server in Deutschland“ klingt nach maximalem Datenschutz – ist aber nur die halbe Miete. DSGVO-konformes Hosting hängt nicht allein vom Serverstandort ab, sondern von einem sauberen Auftragsverarbeitungsvertrag, dokumentierten technischen und organisatorischen Maßnahmen und der Frage, ob personenbezogene Daten doch in ein Drittland abfließen. Dieser Beitrag erklärt, worauf Verantwortliche wirklich achten müssen.

Was „DSGVO-konformes Hosting“ tatsächlich bedeutet

Wer eine Website, eine Datenbank oder eine Anwendung bei einem Hoster betreibt, gibt personenbezogene Daten in fremde Hände – die der Server-IP-Logs, Kontaktformulare, Kundenkonten. Datenschutzrechtlich ist der Kunde der Verantwortliche, der Hoster der Auftragsverarbeiter. Das ist kein Detail, sondern der Dreh- und Angelpunkt: Die Pflichten verteilen sich nach diesem Rollenmodell.

Ein deutscher Serverstandort hilft, weil er den problematischen Drittlandtransfer im Normalfall ausschließt. Er ersetzt aber weder den Vertrag noch die Sicherheitsmaßnahmen. Ein Server in Frankfurt mit lückenhaftem Auftragsverarbeitungsvertrag und ohne Verschlüsselung ist nicht DSGVO-konform – ein Server mit sauberem Vertrag und starken Maßnahmen dagegen schon.

Der Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO

Art. 28 DSGVO schreibt vor, dass die Verarbeitung durch einen Auftragsverarbeiter auf Grundlage eines Vertrags erfolgen muss. Ohne einen solchen Auftragsverarbeitungsvertrag ist das Hosting personenbezogener Daten rechtswidrig – unabhängig vom Standort. Der Verantwortliche darf zudem nur mit Auftragsverarbeitern arbeiten, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten.

Ein AVV muss unter anderem regeln:

• Gegenstand und Dauer der Verarbeitung sowie Art und Zweck.
• Weisungsbindung: Der Hoster verarbeitet die Daten nur nach dokumentierter Weisung des Verantwortlichen.
• Vertraulichkeit: Verpflichtung der mit der Verarbeitung befassten Personen zur Vertraulichkeit.
• Sicherheit der Verarbeitung nach Art. 32 DSGVO.
• Unterauftragsverarbeiter: Bedingungen für den Einsatz weiterer Dienstleister (etwa CDN, Backup-Anbieter).
• Unterstützung des Verantwortlichen bei Betroffenenrechten und Meldepflichten.
• Löschung oder Rückgabe der Daten nach Ende der Leistung.
• Nachweis- und Auditrechte des Verantwortlichen.

Seriöse Hoster halten einen vorbereiteten AVV bereit. Pflicht ist trotzdem, ihn zu prüfen – nicht blind zu unterschreiben. Insbesondere die Liste der Unterauftragsverarbeiter verrät, ob am Ende doch ein US-Dienst im Spiel ist.

Technische und organisatorische Maßnahmen (TOMs) nach Art. 32

Art. 32 DSGVO verpflichtet sowohl den Verantwortlichen als auch den Auftragsverarbeiter, ein dem Risiko angemessenes Schutzniveau sicherzustellen. Der Hoster ist also selbst Adressat dieser Pflicht – nicht nur Erfüllungsgehilfe. Zu den typischen TOMs eines Hosting-Umfelds gehören:

Kategorie	Beispielhafte Maßnahme
Zutrittskontrolle	Rechenzentrum mit Zutrittssicherung, Videoüberwachung, Besucherprotokoll
Zugangskontrolle	Mehr-Faktor-Authentisierung, individuelle Admin-Accounts, kein geteilter Root
Zugriffskontrolle	Rollenbasierte Berechtigungen, Need-to-know-Prinzip
Verschlüsselung	TLS im Transit, Verschlüsselung at rest, sichere Schlüsselverwaltung
Verfügbarkeit	Redundante Stromversorgung, Backups, getestetes Notfallkonzept
Trennbarkeit	Mandantentrennung, getrennte Verarbeitung verschiedener Kunden

Verantwortliche sollten sich diese Maßnahmen schriftlich dokumentieren lassen – etwa als TOM-Anlage zum AVV oder über ein Zertifikat wie ISO 27001. Ein bloßes „wir machen das schon sicher“ reicht im Ernstfall nicht als Nachweis.

Drittlandtransfer: das unterschätzte Risiko

Selbst bei einem Server in Deutschland kann ein Drittlandtransfer entstehen – nämlich dann, wenn der Hoster oder ein Unterauftragsverarbeiter aus einem Drittland heraus auf die Daten zugreifen kann. Typische Fallstricke:

• Ein deutscher Server, aber Support oder Administration durch ein Team außerhalb der EU.
• Ein eingebundenes CDN, Monitoring- oder Mail-Tool eines US-Anbieters.
• Ein Mutterkonzern in einem Drittland mit potenziellem Zugriff.

Für Übermittlungen in Drittländer verlangt Kapitel V der DSGVO eine Rechtsgrundlage – etwa einen Angemessenheitsbeschluss, Standardvertragsklauseln (SCC) plus Risikoanalyse oder andere geeignete Garantien. Wer ausschließlich innerhalb der EU verarbeitet und administriert, umgeht diese Komplexität von vornherein. Das ist der eigentliche Vorteil eines durchgehend europäischen Setups – nicht der Werbe-Sticker „Made in Germany“.

Sonderfall Server-Logs und IP-Adressen

Ein häufig übersehener Punkt: Schon die schlichten Zugriffsprotokolle eines Webservers enthalten personenbezogene Daten. IP-Adressen gelten nach gefestigter Rechtsprechung in aller Regel als personenbezogen, solange eine Zuordnung zur Person theoretisch möglich ist. Damit fällt auch das reine Logging unter die DSGVO – mit eigener Rechtsgrundlage, eigener Aufbewahrungsdauer und eigener Löschpflicht.

Für die Praxis bedeutet das: Klären Sie mit Ihrem Hoster, wie lange Server-Logs aufbewahrt werden und ob IP-Adressen gekürzt oder nach kurzer Frist gelöscht werden. Ein angemessen kurzer Aufbewahrungszeitraum – etwa wenige Tage bis Wochen zur Abwehr von Angriffen – lässt sich über das berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO begründen. Ein dauerhaftes Vorhalten kompletter Logs ohne Zweck dagegen ist kaum zu rechtfertigen.

Checkliste: Hosting-Vertrag DSGVO-konform prüfen

1. Liegt ein vollständiger AVV nach Art. 28 DSGVO vor und ist er unterschrieben?
2. Sind die Unterauftragsverarbeiter benannt – und sind alle in der EU?
3. Gibt es eine dokumentierte TOM-Übersicht oder ein gültiges Sicherheitszertifikat?
4. Werden Daten im Transit und at rest verschlüsselt?
5. Ist ausgeschlossen, dass aus einem Drittland auf die Daten zugegriffen wird (Support, Konzernmutter)?
6. Sind Löschung und Rückgabe der Daten nach Vertragsende geregelt?
7. Ist das Hosting im eigenen Verzeichnis der Verarbeitungstätigkeiten erfasst?

Diese Prüfung ist Aufgabe des Verantwortlichen – nicht des Hosters. Wenn die internen Ressourcen dafür fehlen, hilft eine DSGVO-konforme Datenschutz-Plattform, AVV, TOM-Dokumentation und das Verzeichnis der Verarbeitungstätigkeiten strukturiert zu führen und Dienstleister sauber zu bewerten.

Verantwortung im Schadensfall

Geht beim Hoster etwas schief – ein Datenleck, ein Ransomware-Befall, eine fehlerhafte Konfiguration –, bleibt der Verantwortliche gegenüber den betroffenen Personen und der Aufsichtsbehörde in der Pflicht. Der Auftragsverarbeiter muss den Verantwortlichen nach Art. 33 Abs. 2 DSGVO unverzüglich über eine Verletzung des Schutzes personenbezogener Daten informieren, damit dieser die 72-Stunden-Meldefrist einhalten kann. Ein guter AVV regelt diesen Informationsfluss konkret: Wer meldet was, an wen, in welcher Frist? Fehlt diese Regelung, steht der Verantwortliche im Ernstfall ohne rechtzeitige Information da – und haftet trotzdem.

Deshalb ist die Auswahl des Hosters mehr als eine Preisfrage. Ein Anbieter mit klaren Meldeprozessen, dokumentierten Sicherheitsmaßnahmen und einem belastbaren AVV nimmt dem Verantwortlichen im Krisenfall einen erheblichen Teil des Drucks ab.

FAQ

Reicht ein deutscher Serverstandort für DSGVO-Konformität?
Nein. Der Standort schließt im Normalfall den Drittlandtransfer aus, ersetzt aber weder den Auftragsverarbeitungsvertrag noch die technischen und organisatorischen Maßnahmen. Beides ist zusätzlich erforderlich.

Brauche ich immer einen AVV mit meinem Hoster?
Ja, sobald der Hoster personenbezogene Daten in Ihrem Auftrag verarbeitet – und das tut praktisch jeder Hoster spätestens über Server-Logs und gespeicherte Inhalte. Ohne AVV ist die Verarbeitung nicht rechtmäßig.

Was sind TOMs?
Technische und organisatorische Maßnahmen nach Art. 32 DSGVO – also alle konkreten Vorkehrungen, die ein angemessenes Schutzniveau sicherstellen, von Zutrittskontrolle über Verschlüsselung bis zur Mandantentrennung.

Wann entsteht trotz deutschem Server ein Drittlandtransfer?
Sobald jemand aus einem Drittland Zugriff auf die Daten hat – etwa durch außereuropäischen Support, eingebundene US-Tools oder eine zugriffsberechtigte Konzernmutter im Ausland.

Fazit

DSGVO-konformes Hosting ist eine Kombination aus drei Bausteinen: ein vollständiger Auftragsverarbeitungsvertrag nach Art. 28, nachgewiesene technische und organisatorische Maßnahmen nach Art. 32 und der konsequente Verzicht auf unkontrollierten Drittlandzugriff. Der Serverstandort Deutschland ist dabei hilfreich, aber nie ausreichend. Wer die drei Bausteine sauber dokumentiert, ist auf der sicheren Seite – und kann eine Betroffenenanfrage oder Aufsichtsbehörde gelassen empfangen.